21.04.2022

2658

DDNS-Dienst für NAS im Subnetz

Hallo

Ich benötige eure Hilfe, ich komm seit einigen Tagen mit meinem Problem nicht weiter.

Mittels eines Cisco Switches 250er Serie hab ich unser LAN in zwei VLANs unterteilt. VLAN 1 (192.168.0.x /Subnetzmaske 255.255.255.0) ist sozusagen das Produktiv-LAN: Hier befindet sich der Internet-Router (Fritzbox 3490), Windows-Server, Clients.

Im kleineren zweiten Subnetz VLAN 10 (192.168.10.x / Subnetzmaske 255.255.255.0) ist einzig und alleine eine Synology DiskStation für Backupzwecke (IP 192.168.10.165). Mittels Pull-Backups werden über die DSM-App Active backup for Business zeigesteuert Backups von Server/PC (aus dem anderen Subnetz) gezogen. Funktioniert wunderbar.

VLAN 10 ist mit einem einzigen Endgeräteport am Switch verbunden (Trunkport - getagged) - in der SynoNAS ist die VLAN-Option aktiviert und die VLAN ID 10 eingetragen.

Eigentlich funktioniert alles wunderbar. Zugriff auf DSM mit dem Browser innerhalb des LAN funktioniert (als von einem VLAN ins andere) - auch von extern funktioniert (statische Route auf der Fritzbox zum VLAN10 ist gesetzt).

Jetzt zum eigentlichen Problem:

Ich benötige auf der Synology NAS einen Dienst (Hyperbackup) mit welchem Backups nach extern erstellt werden können - aber auch umgekehrt (Backups einer NAS von extern werden auf die NAS im Subnetz geschrieben). Für den Zugriff von extern auf die NAS ist ein DDNS-Dienst erforderlich.

Früher - als es noch keine Separierung des LAN in 2 VLANs gab (also wo die NAS im gleichen IP-Bereich war wie die Fritzbox) - hat dies ohne Probleme funktioniert . Jetzt wo sie im Subnetz liegt lässt sich die Synology-DDNS-Domain nicht mehr erstellen. Normalerweise wird bei der Konfiguration eine automatische IPv4-Adresse generiert. Dies geht nicht mehr. Auch funktioniert der Synology-spezifische quickconnect-Dienst nicht mehr.

Als "Routing-Novize" bitte ich um Nachsicht falls mein Anliegen hier als zu trivial für die Profis betrachtet wird.

Kann DDNS im Subnetz überhaupt funktionieren? In einem einzigen Netz (also ein IP-Bereich 192.168.0.x) war das easy - Portfreigabe für den Hyperbackup-Dienst auf der Fritzbox eingerichtet und mit der synology-domain bestand Zugriff.
Seit der Switch dazwischen ist geht es nicht mehr.

Grüße Rainer

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 2560122849

Url: https://administrator.de/contentid/2560122849

Ausgedruckt am: 22.11.2024 um 07:11 Uhr

15 Kommentare

Neuester Kommentar

Hallo,

die FB kennt nur das 1. VLAN.
Von dem Routing im Switch weiß sie nichts.

Man bräuchte statt der FB einen Router der VLAN-Fähig ist und beide VLANs kennt.
Die FB scheidet hier aus.

Man könnte etwas mit einem Proxy basteln, aber das ist eher fummelig.

Ich empfehle einen APU mit pfsensen oder Mikrotik.

Stefan

Mittels eines Cisco Switches 250er Serie hab ich unser LAN in zwei VLANs unterteilt.

Nur unterteilt oder routet der Switch auch ? Sprich also du hast ein Layer 3 Konzept umgesetzt ?
Mit so einem korrekten L3 Konzept wäre der oben genannte (VLAN) Router obsolet bzw. völlig unnötig.

VLAN 10 ist mit einem einzigen Endgeräteport am Switch verbunden (Trunkport - getagged)

Was ist der tiefere Sinn davon ??
Normal weist man den NAS Port statisch dem VLAN 10 als UNtagged Access Port zu. Tagging bei Endgeräten ist überflüssig und sollte man nicht machen.

Jetzt wo sie im Subnetz liegt lässt sich die Synology-DDNS-Domain nicht mehr erstellen

Das macht auch sehr wenig Sinn, denn der DDNS Client sollte immer auf dem Port liegen der direkt das Internet also die öffentliche IP bedient und das ist in der Regel ja immer dein Routerport und niemals der Port eines Endgerätes im lokalen LAN. Dieser "sieht" immer nur falsche RFC1918 IPs. Das ist also ein grundsätzlicher Fehler in deinem Setup !
Der DDNS Dienst gehört deshalb immer auf Router oder FW wie in deinem Fall deine FritzBox. Z.B. über deren kostenlosen AVM DDNS Dienst myfritz.de o.a.
Das beantwortet also deine Frage warum DDNS Dienste nicht oder nur bedingt in lokalen, nicht routebaren RFC1918 IP Netzen funktionieren können.
Der Rest ist dann wieder so wie du es beschreibst. Port Forwarding auf die lokale IP des NAS im Subnetz was dann auch eine statische Route in der FB erzwingt in das Subnetz was der Switch routet. (Siehe L3 Konzept oben).
Der folgende Thread beschreibt annähernd so ein Szenario. (Die FW entspricht deinem L3 Switch. Das Port Forwarding auf der FW kannst du dir wegdenken weil dein Switch in deinem Setup kein NAT (Adress Translation) macht.)
Webserver hinter pfSense nur aus lokalen Netzwerken erreichbar

@aqui:

Nur unterteilt oder routet der Switch auch ? Sprich also du hast ein Layer 3 Konzept umgesetzt ?

Bei mir ist die Netzwerk-Tpoplogie etwas anders als in dem von dir verlinkten Layer-3-Konzept: Es gibt kein Koppel-VLAN zum Internetrouter, die FB ist ja Bestandteil eines der beiden VLANS (in meinem Fall VLAN 1)….und ja die beiden VLANs können miteinander kommunizieren…sonst könnte ich doch nicht vom Client-PC aus VLAN1 auf die NAS in VLAN 10 zugreifen

Was ist der tiefere Sinn davon ??

Den gibt es nicht….ich habs vorher so gehabt wie du es empfohlen hast…ich dachte vielleicht funktioniert es dann....tat es aber nicht...kann ich wieder umstellen

Ich versuche gerade zu verstehen, was du am Schluss geschrieben hast

Der DDNS Dienst gehört deshalb immer auf Router oder FW wie in deinem Fall deine FritzBox.

Klingt plausibel. Früher, als es nur ein einziges LAN gab (also noch keine Separation in 2 VLANs) war der DDNS-Client ja die NAS (und nicht die FB - wie von dir vorgeschlagen)…das hat aber gut funktioniert mit dem Port-Forwarding auf der FB. Jetzt klappt das nicht mehr weil zwischen FB und DDNS-Client (NAS) der Switch liegt.

Danke für den link...ich schau mal ob ich das so umsetzen kann...und melde mich dann nochmal

Vielen Dank !!!!!!

In dem Test-Setup macht die FB Portforwarding auf die FW (in meinem Szenario der Switch).

Müsste nicht das Portforwarding auf die NAS im andern Subnetz erfolgen? Geht das überhaupt ?

Hierzu habe ich dieses Thema gefunden

Portweiterleitung Fritzbox in Subnetz

Ich habs auf meiner FB mal ausprobiert....bekomme die gleiche Fehlermeldung "Die IP-Adresse wird bereits von einem anderen Gerät verwendet"

Es gibt kein Koppel-VLAN zum Internetrouter,

Es ist vollkommen Wumpe welche VLAN man letztlich benutzt. Ein sauberes L3 Konzept sollte aber niemals ein Produktiv VLAN als Koppelnetz zum Router verwenden. In einem einfachen Heimnetz Setup ist das aber tolerabel. Es bleibt also dabei das du ebenso ein L3 Konzept betreibst.

ch habs vorher so gehabt wie du es empfohlen hast…

Es gibt nirgendwo eine "Empfehlung" Endgeräte Tagged anzuschliessen ! Wo hast du sowas gesehen. Das sollte man nie machen, hat eher Nachteile. UNtagged Endgeräte weisst man immer statisch Ports im Access Mode dem jeweiligen VLAN zu.

ich dachte vielleicht funktioniert es dann...

Nicht denken sondern nachdenken !!

Was sollten denn Layer 2 Tags an einer Routing Funktion ändern ? VLAN ist L2 only. Äpfel und Birnen...

Früher, als es nur ein einziges LAN gab

Ja früher....da gab es auch noch einen Kaiser !

In dem Test-Setup macht die FB Portforwarding auf die FW

Ist dir oben mehrfach gesagt worden !! Das liegt daran das die FW NAT ( IP Adress Translation) macht. Dein Switch macht das nicht. Deshalb zeigt dein Port Forwarding auf die Endgeräte Adresse und nicht auf ein NAT Device. Kannst du also ignorieren. Und...bitte auch mal lesen was man dir hier schreibt.

Müsste nicht das Portforwarding auf die NAS im andern Subnetz erfolgen? Geht das überhaupt ?

Das ist richtig und das klappt auch. Zumindestens bei aktuellen FritzBoxen bzw. FB Firmware. Es muss allerdings zwingend eine statische Route in das Zielnetz dazu auf der FB vorhanden sein !

Vielen Dank für deine Erläuterungen. Wieder etwas gelernt

Du musst nicht gleich gereizt sein

wenn für mich Routing/Netzwerkanfänger hier Dinge nicht so klar sind wie für dich als Profi.

Aber wie gesagt, bin ja dankbar, dass einem hier die Dinge erklärt werden

Beim Portforwarding der FB ins Subnetz bekomme ich die gleiche Fehlermeldung wie doubleo in dem verlinkten Post

Gereizt ? Wie kommst du darauf ?? Ist doch Freitag 🐟 und damit Wochenende ! 😎

Beim Portforwarding der FB ins Subnetz bekomme ich die gleiche Fehlermeldung

Es kommt etwas auf die FB Firmware und deren Alter an. Leider machst du dazu ja keinerlei Aussagen. Siehe (Zitat aus dem o.a. Thread)
Die FritzBox supportet generell kein Port Forwarding auf Zieladressen die nicht in ihrem lokalen IP Netz liegen. Technisch ist das unsinnig wenn es eine Route dahin gibt aber die FritzBox supportet es dennoch nicht.

Da bist du nicht mehr auf dem aktuellen Stand inzwischen funktioniert das auch auf einer Fritzbox wenn die entsprechende statische Route vorhanden ist! Funktioniert und wurde getestet!

Hast du es ggf. einmal mit einem Workaround Trick probiert ?
Keine Portfreigaben FritzBox 7490 mit aktueller FW 6.80 in Subnetze ?

Es handelt sich um eine FB 3490 mit neuester Firmware Fritz OS 07.30

Auch wenn heute Freitag ist, darf ich dich freundlich bitten kurz über meine Einstellungen zu schauen...ich wäre dir sehr verbunden !!

Hier die Fehlermeldung beim Versuch die Portfreigabe zu erstellen

Die statische Route auf der FB

IPv4 Interface auf dem Switch

Portforwarding Table (Switch)

Interface Settings

Port to VLAN 1

Port to VLAN 10

Der Port 24 ist der besagte Port an dem die NAS hängt (mittlerweile wieder untagged und Access-Mode)

Ein Switch macht kein Port Forwarding, das ist Unsinn oben.
Zudem fehlt auf dem Switch die Default Route 0.0.0.0/0 auf die IP Adresse der FritzBox !

Der Fehler ist aber vermutlich wirklich die FB Firmware von AVM die keine Subnetz Ziele beim Port Forwarding annimmt.
Eine 7390 mit aktueller 6.87er Firmware wirft den gleichen Fehler wenn die IP Adresse des Port Forwarding Zieles nicht im gleichen lokalen LAN wie das FritzBox LAN liegt.
Auch der o.a. Workaround über den statischen Eintrag des Clients greift nicht und quittiert die FB ebenso mit einer Fehlermeldung.
Es sieht wohl so aus das das getestete Setup eines Port Forwarding auf einen Subnetz Ziel IP nur mit einer der aktuellen FB Modelle mit 7er Firmware rennt.

Du müssstest dazu mal eine Anfrage an den AVM Support stellen ob das auch für dein Modell gilt oder ab welchem 6er Release das gefixt ist !

OK die 7er Firmware wäre ja drauf...aber die 3490 ist in der Tat ein älteres Modell (2014 erschienen)

Anfrage bei AVM hab ich schon gestellt

Wobei man grundsätzlich ja schon eine eine Freigabe in das Subnetz machen kann...habs jetzt einfach mal mit einer IP versucht die zu keinem Endgerät gehört (also z.B. die 192.168.10.164)...die Freigabe lässt sich problemlos erstellen

Anfrage bei AVM hab ich schon gestellt

Die Antwort darauf wäre sehr interessant, denn diese Frage wird hier im Forum sehr häufig gestellt und die Antowrten darauf sind sehr wiedersprüchlich. Ein Feedback zur offiziellen AVM Antwort zu dem Thema wäre also sicher für alle hier sehr hilfreich.

Wobei man grundsätzlich ja schon eine eine Freigabe in das Subnetz machen kann

Was interessant ist, denn die 7390 scheitert schon bei der IP Adressangabe des Forwarding Zieles wenn diese nicht aus dem lokalen IP Netz der FB stammt.

Sie wiedersprich aber auch genau dem was du oben mit "Hier die Fehlermeldung beim Versuch die Portfreigabe zu erstellen " und einem Screenshot beschrieben hast.
Das verwirrt jetzt da man nicht mehr weiss was bei dir nun stimmt und was nicht.

Sofern es dennoch stimmen sollte, das man den Port Forwarding Eintrag in deinem FB Modell ohne Fehler auf eine nicht lokale Subnetz IP einrichten kann, dann wäre die folgende Info sehr interessant:
Du solltest dir zur wasserdichten Klärung einmal einen Mirror/SPAN Port am Cisco Switch einrichten und den FritzBox Port im .1.0er VLAN spiegeln und dort dann mal mit einem Wireshark lauschen ob diese, von der FritzBox per Port Forwarding geforwardeten Frames, dort auch wirklich am L3 Switch ankommen.
Dieser Wireshark Trace wäre sicher sehr hilfreich zu verifizieren ob die FB dann wirklich das tut was sie soll.

Sorry das ist mir echt zu kompliziert (mit Mirror/SPAN Port) !!

Aber: Ich habe einen workarround gefunden um nun doch mit der FB 3490 eine Portfreigabe ins Subnetz zu realisieren:

Wie schon geschrieben lässt sich ja auf eine fiktive IP-Adresse im Subnetz die Portfreigabe erstellen ...die Portfreigabe auf die 192.168.10.164 funktioniert (bei 192.168.10.165 kam die Fehlermeldung)

Bei nun eben bestehender Portfreigabe auf 192.168.10.164 habe ich jetzt einfach mal versucht, die feste IP der NAS auf die 192.168.10.164 zu ändern. Und es funktioniert...es wurden keine Konflikte gemeldet....

Ich habe die Portfreigaben gleichmal getestet...alles wunderbar !!! Die entsprechenden Dienste der NAS (mit den speziellen freigegebenen Ports) sind jetzt von extern nutzbar....

Irgendwie hatte die FB Probleme mit einer "realen" IP-Adresse im Subnetz. Der Umweg über die "fiktive" Adresse geht

Bin happy !!

Servus @fishrain .

Zitat von @fishrain:
Irgendwie hatte die FB Probleme mit einer "realen" IP-Adresse im Subnetz. Der Umweg über die "fiktive" Adresse geht

Der Umweg ist nicht nötig, das ist nur etwas wirr vom AVM gelöst, denn wenn die IP-Adresse bereits in der Liste der bekannten Hosts im Netz mit Namen oder auch IP-X-X-X-X steht (Drop-Down-Liste) dann lässt sie das manuelle erneute Hinzufügen dieser Adresse nicht zu und man muss Host-Eintrag direkt im "Gerät"-Drop-Down auswählen, oder vorher den bestehenden PC-Eintrag in der Host-Liste löschen, genau das sagt die Fehlermeldung ja.

Grüße Uwe